_____________________________________________________________________________ GUIDE TO (mostly) HARMLESS HACKING Vol. 3 Nummer 2 Hur man 'mappar' Internet -- Dig! Whois! Nslookup! Traceroute! Netstat! ______________________________________________________________________________ Varför ska man 'mappa'(ungefär=kartlägga) Internet? * Därför att det är roligt - ungefär som att utforska nya kontinenter. Internet är jättelikt och det förändras så snabbt och ingen vet exakt hur Internet ser ut. * Därför att när du inte kan nå någon långt bort, kan du hjälpa din ISP med att fixa länkarna. Jag gjorde det en gång när ett mail inte nådde fram till en vän på Irland. Hur ska annars din ISP veta att vissa länkar inte fungerar om ingen talar om det för dem? * Därför att om du vill bli en hacker, kan din kartläggning av dina blivande offer, ge dig värdefull information. Eftersom detta är en lektion i *laglig* hacking, skall vi inte hjälpa dig hitta vilken dator som kan vara bäst att installera ett snifferprogram i, eller hur du hittar vilka IP-adresser som är bäst när det gäller att snoka sig genom ett 'packet filter'. Vi skall däremot utforska några av de bästa verktyg som finns för att kartlägga outforskade områden på Internet. Du kan få tips även om du bara har tillgång till Windows95. Men för att till fullo tillgodogöra dig följande tips, bör du ha ett Unix-konto (Shell Account). Om du inte har detta, bör du ta kontakt med din ISP och be om ett, eller byta Internetleverantör så att du kan köra Unix-program. Du kan eventuellt hitta ett sådant konto om du kontaktar http://www.celestin.com/pocia/. ************************************************************************* Nybörjartips: Ett 'shell-konto' är ett konto hos en ISP som ger dig möjligheten att använda dig av ett Unix operativsystem via din egen pc som då fungerar som en egen terminal . "Shell" är programmet som översätter dina tangenttryckningar till Unix-kommandon. Om du är nybörjare, bör du använda Bash, som är ett av flera olika 'shell'. Du kan kontakta din ISP (Internet Service Provider), och höra om du kan få ett sådant konto, och att du då vill använda Bash. Ibland kan man välja vilken typ av skal man vill ha, bara genom att skriva skalets namn vid prompten(> bash). Om din Internetleverantör inte kan erbjuda dig ett 'shell-konto' - byt leverantör. En bra bok om hur man använder Bash shell är, "Learning the Bash Shell" av Cameron Newham och Bill Rosenblatt utgiven av O'Reilly. ************************************************************************* För att lära oss 'mappa' Internet, provar vi med att besöka Botswana. Botswana? Finns det överhuvudtaget med på Internet? Botswana är ett litet land i södra Afrika, berömt för boskapsskötsel, diamanter och rikt djurliv. Det officiella språket är engelska,så det bör inte vara några problem att kunna kontakta en dator där. Första steget att kolla upp om Botswana finns med på Internet, är att använda Unix-programmet Nslookup. ************************************************************************* Tips: Nslookup är ett av de kraftfullaste verkygen för att 'mappa' Internet. Om du vill lära dig mer hur du använder programmet - kolla in boken _DNS and BIND_, skriven av Paul Albitz och Cricket Liu, och utgiven av O'Reilly 1977. ************************************************************************* Först måste vi kolla var programmet gömmer sig. Andvänd kommandot whereis. Skriv: whereis nslookup Ibland kanske inte kommandot whereis funkar. Prova då med "find" istället. Alltså: find nslookup Ok. Förhoppningsvis hittar du programmet och i mitt fall ger jag kommandot: /usr/etc/nslookup Default Server: swcp.com Address: 198.59.115.2 > Dessa två rader och prompten ( > ) visar att min ISP kör programmet åt mig. Nu är vi i programmet så vi får komma ihåg att vi inte står i Bash-skalet längre. Nästa steg är att instruera programmet att tala om för oss vilka datorer som tillhör ett visst domännamn. >set type=ns Vi vill nu veta domännamnet för Botswana. För att göra det slår jag upp listan på topp-domännamn i boken _DNS and BIND_ . bw står för Botswana. Så jag skriver in detta vid prompten - kom ihåg att skriva en punkt efter domännamnet. >bw. Server: swcp.com Adress: 198.59.115.2 Non-authoritative answer: Detta svar visar att informationen har funnits här ett tag, så det finns en möjlighet att infon inte stämmer längre, men det är ändå osannolikt. bw nameserver = DAISY.EE.UND.AC.ZA bw nameserver = RAIN.PSG.COM bw nameserver = NS.UU.NET bw nameserver = HIPPO.RU.AC.ZA Authoritative answers can be found from: DAISY.EE.UND.AC.ZA inet address = 146.230.192.18 RAIN.PSG.COM inet address = 147.28.0.34 NS.UU.NET inet address = 137.39.1.3 HIPPO.RU.AC.ZA inet address = 146.231.128.1 Jag kollar upp domännamnet "za" och upptäcker att det står för Sydafrika. Det i sin tur säger att Botswana fortfarande inte har några egna namnservrar - de som listas finns i Sydafrika och USA. ************************************************************************* Nybörjartips: Namnservrar kallas de datorer som lagrar data om domännamn. Detta system ser till att det inte finns två datorer på Internet med samma adress. Dessa servrar lagrar också information om hur man hittar andra datorer. Dessa namnservrar "talar" med varandra och det tar oftast bara några sekunder för en namnserver att hitta fram till rätt dator och routen dit trots att det finns miljoner datorer på Internet. ************************************************************************* Dessa upplysningar visar att invånarna i Botswana får förlita sig på datorer i Syd Afrika för att koppla upp sig. Låt oss kolla upp lite mer om Syd Afrika. Eftersom vi fortfarande befinner oss i programmet Nslookup, ber vi programmet lista de namnservrar som finns i Syd Afrika: > za. Server: swcp.com Address: 198.59.115.2 Non-authoritative answer: za nameserver = DAISY.EE.UND.AC.za za nameserver = UCTHPX.UCT.AC.za za nameserver = HIPPO.RU.AC.za za nameserver = RAIN.PSG.COM za nameserver = MUNNARI.OZ.AU za nameserver = NS.EU.NET za nameserver = NS.UU.NET za nameserver = UUCP-GW-1.PA.DEC.COM za nameserver = APIES.FRD.AC.za Authoritative answers can be found from: DAISY.EE.UND.AC.za inet address = 146.230.192.18 UCTHPX.UCT.AC.za inet address = 137.158.128.1 HIPPO.RU.AC.za inet address = 146.231.128.1 RAIN.PSG.COM inet address = 147.28.0.34 MUNNARI.OZ.AU inet address = 128.250.22.2 MUNNARI.OZ.AU inet address = 128.250.1.21 NS.EU.NET inet address = 192.16.202.11 UUCP-GW-1.PA.DEC.COM inet address = 204.123.2.18 UUCP-GW-1.PA.DEC.COM inet address = 16.1.0.18 APIES.FRD.AC.za inet address = 137.214.8 ************************************************************************* Nybörjartips: Vad betyder inet adress = 137.214.80.1? Det är adressen till datorn APIES.FRD.AC utskriven i oktal form. Oktal kallas ett talsystem som bygger på basen 8 och inte på basen 10 som vårt decimala talsystem. Alla datorer på Internet har adresser angivna i denna oktala form - kallas även IP-adresser. ( Finns även hexadecimalt talsystem med basen 16). ************************************************************************* Aha! - Vissa av dessa datorer är belägna utanför Syd Afrika. Vi ser datorer i Australien (au) samt USA (com). Nu stänger vi programmet Nslookup med kommandot CTRL+D. Det är viktigt att du stänger programmet på det här sättet - inte ctrl+c. Härnäst tar vi en namnserver i Syd Afrika och frågar: ->whois HIPPO.RU.AC.ZA [No name] (HIPPO) Hostname: HIPPO.RU.AC.ZA Address: 146.231.128.1 System: SUN running SUNOS Domain Server Record last updated on 24-Feb-92. To see this host record with registered users, repeat the command with a star ('*') before the name; or, use '%' to show JUST the registered users. The InterNIC Registration Services Host contains ONLY Internet Information (Networks, ASN's, Domains, and POC's). Please use the whois server at nic.ddn.mil for MILNET Information. Cool! Det här talar om för oss vilken typ av dator det här är - en Sun och operativsystemet är Sun OS. Bara för att variera lite, använder jag den numeriska adressen till en av namnservrarna. Det är inte alltid att man får tillbaks datorna namn, men ibland funkar även det: ->whois 146.230.192.18 [No name] (DAISY1) Hostname: DAISY.EE.UND.AC.ZA Address: 146.230.192.18 System: HP-9000 running HP-UX Domain Server Record last updated on 14-Sep-94. Ok - allt som vi ser här är information om vilken namnserver som betjänar vilka datorer. Nu skall jag mappa routen direkt till datorn 146.230.192.18 med kommandot traceroute. ************************************************************************* Netiquette tips: Programmet Traceroute används för att testa nätverk - kapacitet och administration. Det bör användas huvudsakligen när något inte fungerar över nätet, som den gången jag inte kunde nå en vän på Norra Irland med epost. Programmet kan kraftigt belasta nätet om det används automatiserat via ett script. Om du använder Traceroute alltför mycket, kanske din ISP börjar undra. ************************************************************************* ************************************************************************* Gå-i-fängelse-varning: Om du har listat ut hur du kan använda Traceroute för att göra en attack, underrätta inte någon vad du håller på med om du tänker attackera servrar som betjänar känt folk som tex statsministern. Skriv inte ett sådant script och framför allt - använd det inte! Läs följande artikel först - http://www.pcworld.com/news/newsradio/meinel/index.html - visar hur en treåring kan använda Traceroute. Och om du torskar - ??? ************************************************************************* Jag ger kommandot: ->whereis traceroute traceroute: /usr/local/bin/traceroute OK, Nu är vi klara att göra en seriös mappning: ->/usr/local/bin/traceroute DAISY.EE.UND.AC.ZA Och svaret blir: traceroute to DAISY.EE.UND.AC.ZA (146.230.192.18), 30 hops max, 40 byte packets 1 sisko (198.59.115.1) 3 ms 4 ms 4 ms 2 glory-cyberport.nm.westnet.net (204.134.78.33) 47 ms 8 ms 4 ms 3 ENSS365.NM.ORG (129.121.1.3) 5 ms 10 ms 7 ms 4 h4-0.cnss116.Albuquerque.t3.ans.net (192.103.74.45) 17 ms 41 ms 28 ms 5 f2.t112-0.Albuquerque.t3.ans.net (140.222.112.221) 7 ms 6 ms 5 ms 6 h14.t16-0.Los-Angeles.t3.ans.net (140.223.17.9) 31 ms 39 ms 84 ms 7 h14.t8-0.San-Francisco.t3.ans.net (140.223.9.13) 67 ms 43 ms 68 ms 8 enss220.t3.ans.net (140.223.9.22) 73 ms 58 ms 54 ms 9 sl-mae-w-F0/0.sprintlink.net (198.32.136.11) 97 ms 319 ms 110 ms 10 sl-stk-1-H11/0-T3.sprintlink.net (144.228.10.109) 313 ms 479 ms 473 ms 11 sl-stk-2-F/T.sprintlink.net (198.67.6.2) 179 ms * * 12 sl-dc-7-H4/0-T3.sprintlink.net (144.228.10.106) 164 ms * 176 ms 13 sl-dc-7-F/T.sprintlink.net (198.67.0.1) 143 ms 129 ms 134 ms 14 gsl-dc-3-Fddi0/0.gsl.net (204.59.144.197) 135 ms 152 ms 130 ms 15 204.59.225.66 (204.59.225.66) 583 ms 545 ms 565 ms 16 * * * 17 e0.csir00.uni.net.za (155.232.249.1) 516 ms 436 ms 400 ms 18 s1.und00.uni.net.za (155.232.70.1) 424 ms 485 ms 492 ms 19 e0.und01.uni.net.za (155.232.190.2) 509 ms 530 ms 459 ms 20 s0.und02.uni.net.za (155.232.82.2) 650 ms * 548 ms 21 Gw-Uninet1.CC.und.ac.za (146.230.196.1) 881 ms 517 ms 478 ms 22 cisco-unp.und.ac.za (146.230.128.8) 498 ms 545 ms * 23 IN.ee.und.ac.za (146.230.192.18) 573 ms 585 ms 493 ms Så vad betyder allt det där? Siffran framför varje rad anger antal hopp som routen gör mellan olika datorer från din dator sett. Andra ordet i varje rad, anger namnet på den dator genom vilken routen passerar - först som text - sedan som dess IP-nummer. Siffrorna därefter anger tiden i millisekunder som det tar för varje av tre paket att passera en viss dator. När ett * skrivs, innebär det att tiden 3 sekunder, som är ett defaultvärde,har överskridits. Låt oss kolla lite närmare på hopp 16. Där fick vi ingen information alls. Tystnaden där kan bero på en bug som finns i 4.1, 4.2 eller 4.3 av BSD:s Unix. Om datorn kör en av dessa Unixsystem, skickas ingenting ut som svar. Det kan också bero på något annat. Jag vet inte säkert vad det kan vara för problem. ************************************************************************* Tips: Om du verkligen vill lära dig allt om Traceroute - skriv: man traceroute och du får upp manualen om Traceroute och dessa manualer är faktiskt roliga att läsa då de ofta är skrivna med glimten i ögat. ************************************************************************* ************************************************************************* Tips för er som saknar ett Unix-konto: Om du har Win95, kan du erhålla ett liknande resultat - inte att du åker i fängelse - att du kan mappa routen till en viss dator. I Win95 heter programmet Tracert och så här gör du för att använda det programmet: 1) Start din uppkoppling mot Internet och vänta till du är uppkopplad. 2) Klicka på Start-knappen - gå till Program 3) Klicka på Dos-ikonen - öppnar ett Dosfönster. 4) Ställ dig i Windows-katalogen tex C:\windows 5) Skriv - tracert och namnet på den dator du vill mappa vägen till, och tryck Enter - tex tracert 155.232.190.2 Du kan även använda namnet på en dator tex tracert rain.psg.com 6) Hav tålamod. Om du mappar upp vägen till en dator långt borta, kan det ta sin tid. Varje dator som passeras på vägen, måste leta upp nästa dator, som i sin tur måste leta fram nästa och så vidare. Så ibland kan det här ta lång tid, ungefär lika lång tid som du ibland får vänta innan du hittar en viss websida och innan den har laddats hem till din pc. 7) Om du tänker använda Win95:s tracert, bör du veta att erfarna hackare inte rekommenderar detta. Det är allt för lätt att spåra dig om du skulle göra nåt galet!!! ************************************************************************* Jaha - det här börjar bli intressant. Vi vet att Daisy är direkt uppkopplad mot åtminstone en dator och att den datorn i sin tur är kopplad till Cisco-unp.und.ac.za. Låt oss kolla upp lite mer om den datorn. Först och främst kan vi snabbt anta att datorn är en Cisco-router. Första hoppet här ovan är också till en Cisco-router. 85% av alla routrar är just cisco-maskiner så det är kanske inte så konstigt. Men vi vill inte bara veta att det är en Cisco-router. Vi vill också veta vilken typ av maskin det är och kanske lite annat smått och gott. Vi testar först: ->whois cisco-unp.und.ac.za No match for "CISCO-UNP.UND.AC.ZA". The InterNIC Registration Services Host contains ONLY Internet Information(Networks, ASN's, Domains, and POC's). Please use the whois server at nic.ddn.mil for MILNET Information. ? Traceroute talar om för oss att cisco-unp.und.ac.za existerar, men whois kan inte hitta den. Detta är faktiskt ett ganska vanligt problem, om du använder whois på datorer som ligger långt bort. Så vad gör vi då? Om du har tur, kan kommandot whereis gräva fram ett annat utmärkt verktyg åt dig på din ISP:s dator - Dig. ************************************************************************* Nybörjartips: Dig är en förkortning av Domain Information Groper. Det här programmet liknar Nslookup - kolla manualen för programmet (man dig) *************************************************************************